{"id":183658,"date":"2026-10-06T22:53:58","date_gmt":"2026-10-06T20:53:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/news\/vypusk-openssh-10-6-s-ustraneniem-uyazvimostej"},"modified":"2026-10-06T22:54:02","modified_gmt":"2026-10-06T20:54:02","slug":"openssh-10-6-released-with-vulnerability-fixes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/openssh-10-6-released-with-vulnerability-fixes","title":{"rendered":"Lansarea OpenSSH 10.6 cu remedierea vulnerabilit\u0103\u021bilor","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A fost publicat\u0103 versiunea OpenSSH 10.6, o implementare deschis\u0103 a clientului \u0219i serverului pentru lucrul cu protocoalele SSH 2.0 \u0219i SFTP. Au fost remediate problemele de securitate, majoritatea dintre ele fiind identificate prin analiza codului folosind instrumente AI (identificatorii CVE nu au fost atribui\u021bi): <\/p>\n
\n
O vulnerabilitate \u00een sftp, care permite scrierea unui fi\u0219ier \u00een afara directorului \u021bint\u0103 atunci c\u00e2nd se acceseaz\u0103 un server controlat de atacatori.\n
Dou\u0103 vulnerabilit\u0103\u021bi \u00een implementarea GSSAPI \u00een sshd, cauzate de p\u0103strarea st\u0103rii \u00eentre diferite \u00eencerc\u0103ri de autentificare. Creditele GSSAPI puteau fi p\u0103strate dup\u0103 o tentativ\u0103 e\u0219uat\u0103 de autentificare \u0219i utilizate dup\u0103 o tentativ\u0103 de autentificare reu\u0219it\u0103 ulterioar\u0103. Problemele apar c\u00e2nd se activeaz\u0103 setarea GSSAPIAuthentication.\n
\u00cen sshd \u0219i ssh a fost dezactivat\u0103 suportul pentru compresia LZ77 din cauza posibilit\u0103\u021bii de a efectua un atac prin canal secundar, permi\u021b\u00e2nd recuperarea con\u021binutului dintr-o sesiune diferit\u0103 atunci c\u00e2nd se conecteaz\u0103 printr-o conexiune multiplexat\u0103 comun\u0103 cu victima, profit\u00e2nd de faptul c\u0103 datele de intrare controlate de atacatori afecteaz\u0103 lungimea total\u0103 a mesajelor criptate transmise (LZ77 \u00eenlocuie\u0219te \u0219irurile repetitive cu referin\u021be \u00een bufferul comun pentru toate canalele).\n
\u00cen utilitarul ssh, utilizarea caracterelor '$' \u0219i '\\' \u00een numele utilizatorilor introdu\u0219i \u00een linia de comand\u0103 este interzis\u0103, deoarece ar putea permite executarea de cod prin substituirea numelui \u00een directivele ProxyCommand \u0219i Match exec, specificate \u00een set\u0103ri.\n
\u00cen ssh-keygen a fost corectat\u0103 procesarea incorect\u0103 a orei de var\u0103, care ducea la o deviere a datei de expirare a certificatelor cu 1 or\u0103.\n
Cu scopul de a bloca crearea bombelor zip \u00een sshd \u0219i ssh, a fost ad\u0103ugat\u0103 o verificare care dep\u0103\u0219e\u0219te dimensiunea maxim\u0103 a pachetului la dezarhivarea datelor.\n
\u00cen sshd, a fost remediat\u0103 problema care permitea ocolirea restric\u021biilor cuv\u00e2ntului cheie \u00abrestrict\u00bb \u00een fi\u0219ierul authorized_keys, care nu era aplicat tunelurilor (PermitTunnel).\n
\u00cen sshd, a fost corectat\u0103 analiza incorect\u0103 a op\u021biunii \u00abnone\u00bb \u00een interiorul blocurilor Match, care \u00een unele directive, cum ar fi AuthorizedPrincipalsFile, era interpretat\u0103 ca un nume de fi\u0219ier, \u00een loc de un indicator pentru dezactivarea directivei.\n
\u00cen sshd, a fost eliminat\u0103 lipsa reset\u0103rii privilegiilor root pe platformele care nu suport\u0103 transmiterea descriptorilor de fi\u0219iere \u0219i necesit\u0103 drepturi root pentru alocarea PTY. Problema apare \u00een QNX 6, SCO OpenServer 5 \u0219i la compilarea cu op\u021biunea \u00ab--disable-fd-passing\u00bb. <\/ul>\n
Modific\u0103ri nesus\u021binute de vulnerabilit\u0103\u021bi: <\/p>\n
\n
Suportul pentru algoritmul criptografic hibrid ssh-mldsa44-ed25519, rezistent la atacurile computerelor cuantice, a fost activat.\n
\u00cen sshd_config a fost implementat\u0103 \u0219i activat\u0103 implicit op\u021biunea WarnWeakCrypto pentru gestionarea mesajelor de avertizare legate de stabilirea conexiunilor utiliz\u00e2nd algoritmi de negociere a cheilor care nu sunt rezisten\u021bi la atacurile computerelor cuantice.\n
\u00cen ssh-keygen \u0219i ssh-add a fost implementat\u0103 verificarea politicii credProtect \u00een acreditive, pentru a \u00eendeplini cerin\u021bele de verificare (PIN sau biometrie) \u00eenainte de accesul la cheile rezidente pe token-uri FIDO.\n
\u00cen ssh-add a fost ad\u0103ugat flagul \u00ab-P\u00bb pentru a omite introducerea op\u021bional\u0103 a PIN-ului pentru tokenurile FIDO \u0219i PKCS#11.\n
\u00cen ssh, comanda ~I a fost implementat\u0103 pentru a afi\u0219a informa\u021bii despre versiunile sistemelor locale \u0219i la distan\u021b\u0103.\n
\u00cen sftp, la comenzile mkdir\/lmkdir a fost ad\u0103ugat flagul '-p' pentru a crea directoare, dac\u0103 este necesar.\n
\u00cen ssh-keygen a fost ad\u0103ugat modul \u00abhexdump\u00bb pentru exportul cheilor sub form\u0103 de dumps hexazecimale (de exemplu, pentru inserarea \u00een documenta\u021bie).\n
\u00cen ssh \u0219i sshd, \u00een directiva ChannelTimeout a fost permis\u0103 specificarea timeout-urilor cu precizie p\u00e2n\u0103 la frac\u021biuni de secund\u0103.\n
\u00cen sshd a fost ad\u0103ugat\u0103 op\u021biunea AgentSocketPath pentru a specifica calea c\u0103tre $SSH_AUTH_SOCK atunci c\u00e2nd se redirec\u021bioneaz\u0103 agentul (de exemplu, user:.ssh\/agent pentru subdirectoare \u00een $HOME \u0219i shared:\/tmp pentru directoare partajate).\n
\u00cen ssh-agent a fost ad\u0103ugat flagul \u00ab-A\u00bb pentru specificarea directoarelor cu socketuri ale agentului, \u00een care este permis\u0103 utilizarea prefixelor \u00abuser:\u00bb \u0219i \u00abshared:\u00bb, ca \u00een op\u021biunea AgentSocketPath.\n
\u00cen sshd, verificarea cheilor publice a fost separat\u0103 de \u00eencerc\u0103rile de autentificare. A fost ad\u0103ugat\u0103 op\u021biunea \u00abPubkeyOptions max-pk-ok:nnnn\u00bb pentru configurarea num\u0103rului de \u00eencerc\u0103ri de verificare a cheilor publice (implicit 6), dup\u0103 care conexiunea va fi \u00eentrerupt\u0103 din cauza limitei MaxAuthTries.\n
\u00cen ssh \u0219i sshd, op\u021biunea TCPKeepAlive a fost extins\u0103 pentru a sus\u021bine valoarea \u00aball\u00bb, care include trimiterea pachetelor keepalive nu doar pentru conexiunea principal\u0103, ci \u0219i pentru conexiunile redirec\u021bionate prin aceasta. <\/ul>\n